[發明專利]建立業務系統的安全基線的方法和裝置

在審

• 申請號: 201310331912.2
• 申請日: 2013-08-01
• 公開（公告）號: CN103414585A
• 公開（公告）日: 2013-11-27
• 發明（設計）人: 范冰冰;黃君勝;陳振洲
• 申請（專利權）人: 華南師范大學
• 主分類號: H04L12/24
• 分類號: H04L12/24;H04L29/06
• 代理公司: 廣州新諾專利商標事務所有限公司 44100
• 代理人: 張玲春

技術領域

本發明涉及信息系統安全的應用領域，具體的說，涉及一種在業務系統中建立安全基線的方法和裝置。

背景技術

業務信息系統（簡稱業務系統）是以處理信息流為目的的人機一體化系統，由計算機硬件、網絡、軟件、信息資源、信息用戶和規章制度組成。業務系統通常由應用服務器（集群）、數據服務器（集群），WEB服務器（集群）、客戶端、網絡設備、外圍安全設備，以及在各種硬件上提供服務的各種應用程序（應用系統）組成。由于業務系統的重要性，如何保證業務系統的安全得到越來越多人的關注和研究。主要有以下幾種解決方案：

（1）業務系統安全評估。基于系統風險評估的解決方案，對業務系統在入網前以及運行過程中進行安全風險評估，為運維人員提供安全管理維護的參考依據。通過對被評估業務系統進行層次化分解，建立面向業務的系統特征描述模型，將系統中涉及的各種因素（信息環境、信息載體和信息）進行抽象化地描述，并根據系統具體的業務流程進行層次量化分析，結合信息資產價值量的評價實現對系統可能存在的種種風險的評估。

（2）業務系統訪問控制。通過分析業務系統的安全需求和組織特點，制定了企業業務系統RBAC方案，對角色劃分、權限分配、會話管理、RBAC管理進行方案設計，解決系統的數據和資源的訪問控制安全問題。基于角色的訪問控制模型RBAC以及基于任務的訪問控制模型的研究，是在對業務系統安全需求分析的基礎上，構建了基于角色和任務的訪問控制模型ETRBAC，提高了系統的安全訪問控制能力。

（3）云計算安全。目前基于云計算的業務系統快速發展的背景前提下，研究云計算的安全問題，提出綜合可信訪問控制、密文檢索和處理、數據存在和可使用證明、數據隱私保護、虛擬安全技術、云資源訪問控制等技術的云安全解決方案。金松昌等針對目前的大數據業務系統發展現狀及趨勢，結合認證令牌算法,提出了一種保證數據安全系統設計方案。設計方案主要包括兩方面數據安全部分和數據災備部分。數據安全部分,用于保證系統數據層面的安全,主要包括數據訪問控制、數據共享安全、錯誤檢測和自動恢復等；數據災備部分,用于應對突發的有破壞作用的自然災害,保證系統的可靠運行,主要包括AvatarNode、遠程數據遠程備份、災難檢測和系統切換。

（4）內網一體化安全。內網一體化安全監控系統通對全網的各類網絡設備、安全設備、主機、數據庫、應用系統、桌面等實時、細粒度的運行監控，及時發現網絡中的可用性故障和安全威脅，并進行故障定位和告警響應，確保重要業務信息系統的可用性和業務連續性。業務系統作為內網的一個重要組成部分，其安全也由內網一體化安全系統保護。一體化安全系統通過對業務系統所處的系統環境、網絡訪問控制、網站監控、漏洞保護等進行對業務系統的安全防護。

（5）強化終端安全。合理利用操作系統、web服務器、數據庫系統所提供的安全設置，提供業務系統的安全性，以及利用應用程序的靈活性彌補操作系統、web服務器、數據庫系統的安全漏洞，從而達到保證業務系統安全的方法。通過使用防火墻、殺毒軟件、桌面安全工具等工具加強終端安全，防范終端受到來自外部的安全威脅。加強終端安全的另外一種方法就是以操作系統為基礎，建立終端安全基線。終端安全基線以操作系統為基礎，通過分析安全需求，在操作系統中強化某方面的安全配置，并形成安全配置的系列指導文件。終端安全基線的實施提高了內網終端安全配置的一致性和易維護性。

（6）其他解決方案。針對業務信息系統面臨的安全威脅，制定包括法律、制度、規則、硬件、軟件的信息系統安全模型，信息系統安全模型以保護業務活動為出發點,從安全角度對業務系統進行描述.通過分析業務系統及其安全的本質特征,給出了業務信息系統安全模型的基本要素及其相互關系之間的操作關系和安全約束，該模型不僅反映了業務系統資產之間的安全關系,還反映了以安全保密為重點的，通過密碼算法、密鑰管理、數據庫安全保密、網絡安全保密等實現信息系統數據安全。

然而，本領域技術人員仍然盼望出現一種新型的在業務系統中建立安全基線的方法和裝置。

發明內容

為此，本發明的目的是要提供一種建立業務系統的安全基線的方法和裝置，期待能夠提高業務系統的安全和可靠運行性，特別適用于組織機構業務系統的統一安全監控和管理。

為了實現上述目的，本發明采用的技術方案如下：

本發明實施例提供了一種建立業務系統的安全基線的方法，包括以下步驟：

統計業務系統的安全因素，得到安全基線的內容；

根據所述安全基線的內容，對安全基線進行分類；